Analiza loga HijackThis v1.99.1 – wysoki upload, podejrzenie malware na Windows XP

Question

Mam problem robactwem na kompie, zrobiłem loga (HijackThis v1.99.1) i teraz mam prośbę aby ktoś pomógł mi wyszukać to świństwo u mnie w systemie ( myślę że przez te robale właśnie ogromnie skacze mi upload np.: Upload to 35kB/s a Download to 5 KB/s a nie wysyłam niczego więc UP powinien być o...

Kolobos · Accepted Answer

Zanzacz podane wpisy w hijackthis i naciskasz Fix Checked, recznie z rejestru nie musisz usuwac.

O4 - HKCU\..\Run: [MCS Firewall 6] C:\Program Files\MCS Studios\MCS Firewall 6\mcsfw.exe
O4 - HKCU\..\Run: [WinMedia] C:\Documents3072.exe
O4 - HKCU\..\Run: [˙_zskM] C:\WINDOWS\System32\_zskwrkni04ZTEQLWIM]`Q]T`\M.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm

Usluga do kasacji:
O23 - Service: ipfw_helper (ipfw) - Unknown owner - C:\Program Files\MCS Studios\MCS Firewall 6\system\ipfw.exe (file missing)
kasujesz o tak:
Start->Uruchom->sc stop ipfw
oraz:
sc delete ipfw

:arrow:

_666_
Antywirus jak sama nazwa wskazuje ma wykrywac wirusy, a nie trojany.
Avast w zupelnosci wystarcza do uzywania w domu, a jezeli ktos nie umie uzywac komputera i sam sciaga i uruchamia trojany oraz wirusy to żaden program mu nie pomoze.

_666_ · Accepted Answer

Czy jestes pewny,ze tego folderu napewno nie ma.Czy usunales ten klucz z rejestru?

Konsola Odzyskiwania to taki dodatkowy tryb w ktorym sie tylko pisze.Tak jak w dosie.

Upewnij sie co do tego folderu.Jezeli go rzeczywiscie nie ma to konsola nic nie da.

Kolobos · Answer

> SYSTEM WIN XP SP. 1 Przeciez dobrze widac, ze nie masz SP1, nie masz żadnych aktualizacji w tym do IE, a wiec zmien przegladarke na Firefox lub Opere i nie uzywaj wiecej IE. Zamknij porty w wwdc.exe (znajdziesz na google). W hjt usun: O4 - HKLM\..\Run: [jssvc23] jsssvc.exe

_666_ · Answer

Witam

Avast to badziew.Jest dziurawy jak sito.Postaraj sie o jakiegos porzadnego antywira.Co do robali do dobre sa szczepionki z www.programs.pl.
Jako anti-spyware polecam:Evido,SpySweeper lub Spybot,AdAware.

Pozdro

Kolobos · Answer

_666_ > Avast to badziew.Jest dziurawy jak sito. Dlaczego badziew? Moze podaj jakis przyklad tych dziur.

wbokszeroki · Answer

Zrobiłem wszystko jak pisaliście i nadal nic , choć usunęłam odpowiednie pliki z dysku i rejestru to one nadal są wyświetlane w logu Hitjac-ka ( choć robiłem restarty kilka razy )

Logfile of HijackThis v1.99.1
Scan saved at 13:03:06, on 2006-07-02
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\System32\RUNDLL32.EXE
C:\WINDOWS\System32\RunDll32.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Program Files\BearShare\BearShare.exe
C:\Program Files\DU Meter\DUMeter.exe
C:\Program Files\ewido anti-spyware 4.0\ewido.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\Program Files\MSN Messenger\MsnMsgr.Exe
C:\Program Files\Spamihilator\spamihilator.exe
D:\PULPITY STARE\Nowy folder (3)\Putty\pageant.exe
C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
C:\Program Files\Alwil Software\Avast4\ashServ.exe
C:\Program Files\ewido anti-spyware 4.0\guard.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Program Files\Gadu-Gadu\gg.exe
C:\Program Files\Internet Explorer\iexplore.exe
C:\Program Files\WinRAR\WinRAR.exe
C:\DOCUME~1\niko\USTAWI~1\Temp\Rar$EX00.187\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.com/0SEENUS/SAOS01
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.ggsport.pl/
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: MSN Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Program Files\MSN Toolbar\01.01.2607.0\pl-pl\msntb.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [BearShare] "C:\Program Files\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Program Files\Winamp\winampa.exe
O4 - HKLM\..\Run: [DU Meter] C:\Program Files\DU Meter\DUMeter.exe
O4 - HKLM\..\Run: [!ewido] "C:\Program Files\ewido anti-spyware 4.0\ewido.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Gadu-Gadu] "C:\Program Files\Gadu-Gadu\gg.exe" /tray
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [MCS Firewall 6] C:\Program Files\MCS Studios\MCS Firewall 6\mcsfw.exe
O4 - HKCU\..\Run: [WinMedia] C:\Documents3072.exe
O4 - HKCU\..\Run: [Spamihilator] "C:\Program Files\Spamihilator\spamihilator.exe"
O4 - HKCU\..\Run: [˙_zskM] C:\WINDOWS\System32\_zskwrkni04ZTEQLWIM]`Q]T`\M.exe
O4 - HKCU\..\Run: [WrCtrl] "C:\Program Files\WinRoute Pro\wrctrl.exe"
O4 - Startup: Skrót do pageant.lnk = D:\PULPITY STARE\Nowy folder (3)\Putty\pageant.exe
O8 - Extra context menu item: E&ksport do programu Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Badanie - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O17 - HKLM\System\CCS\Services\Tcpip\..\{7129E9CE-7E00-4377-AA14-3C0F0B0A1E19}: NameServer = 10.200.0.1
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - Unknown owner - C:\Program Files\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: avast! Antivirus - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Program Files\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: ewido anti-spyware 4.0 guard - Anti-Malware Development a.s. - C:\Program Files\ewido anti-spyware 4.0\guard.exe
O23 - Service: ipfw_helper (ipfw) - Unknown owner - C:\Program Files\MCS Studios\MCS Firewall 6\system\ipfw.exe (file missing)
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

_666_ · Answer

Szkoda,ze oproznile kwarantanne Symanteca(virusy ktorych nie wykryl avast a wykryl je symantec)?Avast przepuszcza sporo trojanow i jakies 2,3 tygodnie temu byla dyskusja na temat antywirusow.Duzo ludzi juz sie przekonalo o skutecznisci avasta.

wbokszeroki · Answer

Wszystko poszło tylko tego niemoge usunąć O4 - HKCU\..\Run: [˙_zskM] C:\WINDOWS\System32\_zskwrkni04ZTEQLWIM] \M.exe gdy prubuje znaleść ten folder wyskakuje mi taki błąd

_666_ · Answer

@Klobos:Kolego uwazaj na swoj jezyk.Jezeli nie wiesz,ze programy antywirusowe wykrywaja takze trojany i robale to nie masz zielonego pojecia i nie zabieraj glosu.Blokuja takze skrypty.

@autor:Probowales odlaczyc neta i odpalic w awaryjnym i wtedy usunac.Mozesz takze sprobowac jakis skanerow online.I pozbadz sie Avasta.

Pozdro

Kolobos · Answer

Po co chcesz go szukac? Ten folder masz tutaj: C:\WINDOWS\System32\_zskwrkni04ZTEQLWIM] \

wbokszeroki · Answer

Oto chodzi że go tam nie ma na 100 % sprawdzałem 15 razy .

_666_ · Answer

Czy nie jest to folder ukryty?

wbokszeroki · Answer

A jak chce wejść to pokazuje mi że nie ma takiej strony ( wklejam tą lokalizacje ) a jak wchodzę przez uruchom to wyskakuje mi taki błąd jak wyżej wkleiłem

Dodano po 1 [minuty]:

Nie , mam odznaczoną funkcje i pokazuje mi foldery ukryte

_666_ · Answer

Probowales tak jak pisalem.Olaczyc neta i tryb awaryjny. Masz zainstalowana konsole odzyskiwania?Moze stamtad go mozna usunac.

wbokszeroki · Answer

Raczej nie ma tam tego katalogu uruchomiłem sobie Knopixa z płyty i nawet pod linem nie znalazłem go . Pod awaryjnym już próbowałem a jakim sposobem ma go usunąć poprzez konsole odzyskiwania ?

Dodano po 4 [minuty]:

Czy chodzi o przywrucenie systemu ?? ( z jakiegoś wcześniejszego okresu )

wbokszeroki · Answer

Niema go stu procętnie a klucz usunełem ręcznie a potem przez hitjack-a Dodano po 2 [godziny] 3 [minuty]: No nic tego jednego sobie daruje , bo jego chyba niema . Tak więc dzięki za wszystko .

Analiza loga HijackThis v1.99.1 – wysoki upload, podejrzenie malware na Windows XP

Post #1

Post #2

Post #3

Post #4

Post #5

Post #6

Post #7

Post #8

Post #9

Post #10

Post #11

Post #12

Post #13

Post #14

Post #15

Post #16

Post #17

Podsumowanie tematu